Analyse Technique

🔍 Contexte Analyse publiée par Checkmarx Zero le 17 septembre 2026, portant sur une campagne de supply chain npm active ciblant les développeurs JavaScript via un paquet malveillant nommé indexed-btree, qui imite le paquet légitime sorted-btree. 🎯 Technique d’attaque principale Contrairement aux attaques classiques, ce paquet n’utilise aucun script preinstall/postinstall. Le code malveillant est dissimulé directement dans la méthode prototype BTree.prototype.set, déclenchée lors de l’utilisation normale de la bibliothèque. Cette approche contourne les restrictions introduites par npm v12 sur les lifecycle scripts. ...

🔍 Contexte Analyse publiée le 18 septembre 2026 par K7 Computing Labs (https://labs.k7computing.com), suite à l’investigation d’un système présentant des alertes fréquentes liées à des exécutions PowerShell. L’analyse a révélé une chaîne d’infection multi-étapes reposant massivement sur l’obfuscation, le stockage de payloads dans le registre, la livraison covert de données, des mécanismes de persistance, la neutralisation des contrôles de sécurité et l’exécution en mémoire. 🧩 Phase 1 : Exécution PowerShell via le registre et livraison PNG Le vecteur initial est un script PowerShell (vstdfehze.ps1) exécuté avec -executionPolicy Bypass qui récupère dynamiquement un payload encodé depuis la clé de registre HKLM:\Software\uf42a9660377\vstdfehzr. Le script : ...

🔍 Contexte Publié le 18 septembre 2026 par le groupe Adversary Pursuit Group (APG) de Blackpoint Cyber, cet article présente l’analyse technique complète d’un RAT Node.js jusqu’alors non documenté, désormais suivi sous le nom ChainScript. La découverte a eu lieu lors d’une investigation sur une campagne ClickFix. 🎯 Vecteur d’infection et chaîne d’exécution L’infection débute par une activité ClickFix conduisant l’utilisateur à exécuter msiexec.exe, qui contacte api-configuard[.]com via l’endpoint capher.php pour télécharger un MSI malveillant se présentant comme Spotify (ComponentTask33-4d14e6ac.msi). Le MSI : ...

🔍 Contexte Publié le 17 septembre 2026 par ESET Research (Alexandre Côté Cyr et Romain Dumont), cet article documente la découverte de SparroWocky, le nouveau backdoor phare du groupe APT FamousSparrow, aligné sur la Chine et actif depuis au moins 2019. 🎯 Campagne et victimologie Depuis juillet 2025, FamousSparrow a concentré quasi-exclusivement ses opérations sur l’Amérique latine, avec 90% des cibles enregistrées dans la région entre mi-2025 et 2026. Les entités gouvernementales ciblées sont localisées en : ...

🔍 Contexte Le 15 septembre 2026, les chercheurs Asher Davila et Doel Santos d’Unit 42 (Palo Alto Networks) ont publié une analyse technique détaillée d’une famille de malware baptisée Neural Override, un RAT Python en cinq builds actif depuis juillet 2026. 🧠 Description du malware Neural Override est un RAT Python contrôlé via un bot Telegram (@Skibidi_16_bot, nom d’affichage « Pomoshnik ») et intégrant une boucle autonome d’attaque pilotée par LLM via l’API OpenRouter AI. Le LLM analyse les systèmes compromis et sélectionne de manière autonome les actions d’attaque parmi un catalogue incluant : ...

🔍 Contexte L’analyse est publiée le 16 septembre 2026 par la Sansec Forensics Team sur la base d’investigations forensiques menées après un incident de sécurité initialement divulgué par Brevo (anciennement Sendinblue) le 10 septembre 2026. Brevo avait alors signalé la compromission de 6 comptes clients ; Sansec révèle une attaque d’ampleur bien supérieure. 🎯 Nature de l’attaque Le 14 septembre 2026 entre 16:05:18 et 20:12:53 UTC, des attaquants ont injecté un script malveillant dans les assets JavaScript servis par Brevo, transformant la chaîne d’approvisionnement de l’éditeur en vecteur d’attaque massif. Les fichiers compromis incluent : ...

📰 Source : Securelist (Kaspersky) — Publication le 17 septembre 2026, auteurs : Konstantin Isakov et Pavel Cheremushkin. 🎯 Contexte Depuis mi-août 2026, Kaspersky a identifié une campagne de distribution massive de malware déguisé en films populaires via des trackers torrent. L’activité de l’acteur remonte à octobre 2025. Plusieurs centaines de victimes ont été identifiées, incluant des individus et des organisations dans de nombreux pays : Russie, Turquie, Japon, Kenya, Ouganda, Colombie, Espagne, Pays-Bas, Belgique, Allemagne, Finlande, Népal, Tanzanie, Ghana. ...

🔍 Contexte Article technique publié le 16 septembre 2026 sur dfir.ch, rédigé par un analyste DFIR. Il documente l’abus potentiel du système de modules de zsh (shell par défaut sur macOS) à des fins d’évasion de détection et d’exécution furtive. ⚙️ Fonctionnalités des modules zsh exploitables zsh dispose d’un système de modules chargeables à l’exécution via zmodload, exposant des fonctionnalités normalement associées à des utilitaires externes : zsh/net/tcp : connexions TCP brutes via le builtin ztcp (sans curl, wget, nc) zsh/mapfile : lecture/écriture/suppression de fichiers via un tableau associatif (sans cat, rm) zsh/attr : manipulation des attributs étendus via zgetattr, zsetattr, zdelattr, zlistattr (sans /usr/bin/xattr) zsh/files, zsh/stat, zsh/sched, zsh/zselect : autres fonctionnalités système 🎯 Technique d’attaque démontrée L’article démontre une chaîne d’exécution complète : ...

🔍 Contexte Publié le 16 septembre 2026 par Zscaler ThreatLabz, cet article détaille l’Opération RapidRust, une campagne attribuée au groupe APT36 (nexus Pakistan), observée en août 2026. La campagne cible des entités gouvernementales et de défense en Inde et en Afghanistan. 🛠️ Nouveaux outils découverts RUSTYSHADE : backdoor 64 bits écrit en Rust, utilisant des dépôts GitHub privés comme canal C2 via l’API REST GitHub. Les communications sont chiffrées avec AES-256-GCM, la clé étant dérivée du SHA256 d’un token GitHub (PAT) codé en dur. Supporte des commandes de capture d’écran, de webcam, de navigation de fichiers et d’exfiltration. RUSTYMOVE : outil de propagation USB 64 bits en Rust, qui surveille en continu les médias amovibles (USB, SD, MMC, IEEE 1394) et copie des fichiers malveillants pré-stagés vers les lecteurs détectés, permettant d’atteindre des réseaux air-gappés. PSNATCH : outil de vol de fichiers basé sur PowerShell (Windows), exfiltrant vers des dépôts GitHub privés les fichiers modifiés dans les 120 derniers jours, limité à 1 Go par fichier et 5 Go par exécution. BASHNATCH : variante Bash de PSNATCH ciblant les environnements Linux. 🌐 Infrastructure APT36 a utilisé : ...

🌐 Contexte Le 15 septembre 2026, le NCSC britannique, le FBI américain et le service de renseignement néerlandais (AIVD) ont publié conjointement un avis technique détaillé sur la famille de malwares CHOSEN BRICK, utilisée par des acteurs cyber étatiques iraniens depuis au moins 2025. 🎯 Cibles et objectifs Les cibles sont des individus perçus comme une menace par le régime iranien : dissidents, activistes et journalistes situés au Royaume-Uni, aux États-Unis et aux Pays-Bas. L’objectif est la collecte de renseignements (contacts, emails, messages, localisation) pouvant faciliter des opérations de surveillance, de harcèlement, voire de kidnapping ou d’opérations létales. Des données personnelles de victimes ont été publiées sur des sites de fuite pro-iraniens. ...